Glossar
Zero Data Retention
Zero Data Retention bezeichnet die vertragliche Zusicherung eines KI-Anbieters, eingehende Anfragen samt ihrer Inhalte nach der Verarbeitung nicht dauerhaft zu speichern. Prompts, Dokumente und Antworten werden nur für die Bearbeitung genutzt und anschließend nicht aufbewahrt. Für kleine und mittlere Unternehmen ist das wichtig, weil vertrauliche Geschäftsdaten so nicht dauerhaft in den Systemen des KI-Anbieters verbleiben.
Stand: 2026-08-03
Im Standardbetrieb bewahren viele KI-Dienste eingehende Anfragen für einen begrenzten Zeitraum auf – etwa zur Missbrauchserkennung oder Qualitätssicherung. Zero Data Retention ist die davon abweichende, vertraglich festgehaltene Regelung: Der Anbieter verarbeitet die Anfrage, gibt die Antwort zurück und speichert die Inhalte nicht dauerhaft. Der Begriff ist vom Trainingsausschluss zu unterscheiden – dieser regelt, dass Daten nicht zum Training von KI-Modellen verwendet werden, Zero Data Retention regelt, dass sie gar nicht erst aufbewahrt werden. In der Praxis werden beide Zusicherungen häufig kombiniert.
Im Unternehmensalltag wandern schnell vertrauliche Inhalte in KI-Anfragen: Kundenanfragen per E-Mail, Vertragsentwürfe, interne Dokumente. Ohne Zero Data Retention entsteht beim KI-Anbieter mit jeder Anfrage ein wachsender Bestand solcher Daten – ein Punkt, den Datenschutzbeauftragte bei der Prüfung eines KI-Werkzeugs regelmäßig hinterfragen. Mit Zero Data Retention fließen die Daten durch die Verarbeitung hindurch, statt sich beim Anbieter anzusammeln. Das verkleinert die Angriffsfläche und vereinfacht die Antwort auf die Frage, wo Unternehmensdaten am Ende liegen.
Verarbeitungsregion, Speicherung und Trainingsnutzung hängen von den freigegebenen Modellendpunkten und den jeweiligen Vereinbarungen ab. Prüfen Sie diese Bedingungen für Ihre Installation. Zugriffe auf Unternehmenswissen werden über Rollen und Freigaben geregelt.
Zero Data Retention ist dabei ein Baustein, kein Gesamtpaket: Die Zusicherung betrifft den KI-Anbieter, nicht automatisch jede weitere Stelle in der Verarbeitungskette. Wer ein KI-Werkzeug prüft, sollte deshalb zusätzlich auf einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine nachvollziehbare Subprozessoren-Liste und ein durchgesetztes Berechtigungskonzept achten.